必须在VirtualHost中显式配置Options -Indexes并确保AllowOverride All和路径一致，同时验证语法与重载服务；仅靠全局设置或.htaccess易失效，关闭后应返回403而非200。
默认开启的目录浏览（Directory Listing）会让访问者直接看到文件列表，只要 URL 指向一个没有 index.php 或 index.html 的目录，Apache 就会返回 200 并列出所有文件——这在生产环境里等于把网站结构图免费奉送。禁用它不难，但关键在于：必须在虚拟主机配置或 .htaccess 中显式关闭，不能只靠全局设置。
如何在 VirtualHost 中关闭目录浏览
这是最推荐、最可控的方式。编辑你的站点配置文件（如 /usr/local/apache2/conf/extra/httpd-vhosts.conf 或 /etc/apache2/sites-available/your-site.conf），在对应 <VirtualHost> 块内添加或确认以下配置：
<Directory "/data/www/example.com">
Options -Indexes
AllowOverride All
Require all granted
</Directory>
注意点：
-
Options -Indexes是核心，减号表示“移除”该选项；写成Options None也行，但会同时禁掉FollowSymLinks等有用功能，不建议 -
AllowOverride All保证.htaccess文件仍可生效（比如你后续要加重写规则） - 路径必须和
DocumentRoot一致，否则配置不生效；若用了别名（Alias），需额外为别名路径单独配<Directory> - 改完后必须执行
sudo apachectl configtest验证语法，再sudo systemctl reload apache2（或httpd）重载
为什么 .htaccess 方式容易失效
很多人习惯在网站根目录放 .htaccess，写上 Options -Indexes，但常失败。根本原因是：AllowOverride 没开，或者开了但粒度不对。
立即学习“PHP免费学习笔记（深入）”；
检查你的主配置中是否包含类似这一行：
<Directory "/data/www">
AllowOverride None
</Directory>
如果存在且未被更细粒度的 <Directory> 覆盖，那 .htaccess 就完全被忽略。解决办法只有两个：
- 把
AllowOverride None改成AllowOverride FileInfo（最小权限）或All（方便但略松） - 或者干脆放弃
.htaccess，直接在VirtualHost里配，一劳永逸
另外注意：.htaccess 只对当前目录及子目录生效，上级目录的设置不会继承下来。
验证是否真正关闭了目录浏览
别只信配置文件，动手测。假设你的站点是 https://example.com/uploads/，而该目录下有 photo.jpg 和 config.bak 两个文件，且无 index.*：
- 用
curl -I https://example.com/uploads/查看响应码：成功关闭后应返回403 Forbidden，不是200 OK - 浏览器直接访问该 URL，应显示 “Forbidden” 页面，而不是带链接的文件列表
- 如果仍能看到列表，立刻检查 Apache 错误日志（通常是
/var/log/apache2/error.log或/usr/local/apache2/logs/error_log），常见报错如Symbolic link not allowed或Permission denied，说明是权限或路径问题，不是Indexes设置没生效
最容易被忽略的是：某些一键包（如 XAMPP、WAMP）或云主机镜像，默认把 Options +Indexes 写死在主配置里，光改虚拟主机或 .htaccess 不顶用，必须先定位并注释掉全局的那行。
